Anais - Engenharia de Redes de Comunicação - UnB

(lógicos) de software e hardware são descritos formalmente e técnicas de obtenção de
provas são utilizadas para se determinar a validade das especificações. Apesar de poderosas,
no entanto, tais técnicas têm complexidade NP-difícil ou indecidível [7, 8, 16],
dificultando o seu uso na prática. Desta forma, técnicas totalmente informais ou mistas
são utilizadas na verificação das propriedades dos sistemas [1]. Neste sentido, técnicas
de verificação lógica de segurança baseadas em simulação, em especial via introspecção
de máquinas virtuais, têm se mostrado úteis, como mostram os trabalhos de Payne [14] e
Dwoskin [13].
3. Arquitetura do SCuP
A Figura 1 mostra a arquitetura do SCuP. Nela é possível identificar dois núcleos SPARC
de 32 bits, baseados no Leon 3, instanciados de maneira assimétrica, o Application Core
- AC, e o Secure Core - SC. Estes dois núcleos estão ligados aos barramentos internos
AHB (e APB) modificados. Estes barramentos implementam um firewall de hardware,
programado por SC e que limita o acesso dos mestres de barramento aos periféricos.
Os componentes periféricos encontrados no processador são divididos em dois
principais grupos: componentes sem função de segurança (caixas mais claras e que incluem,
dentre outros, USB, PCI, Controle de DDR2) e componentes com funcionalidades
seguras (como cifradores de memória externa e o TRNG (true random number generator)).
No que se segue apresentamos uma breve descrição dos componentes do SCuP e
em seguida algumas das funcionalidades de segurança permitidas pela nossa plataforma.
3.1. Componentes do Sistema
3.1.1. Os Núcleos AC e SC
A arquitetura do SCuP permite que coexistam diversos (n) Núcleos de Aplicação (AC)
com diversos (m) Núcleos de Segurança (SC). Na Figura 1, n = m = 1. O AC é
um núcleo completo para uma CPU, com unidade de ponto flutuante, cache de dados e
programa e MMU, e que serve para a execução de aplicações de usuários convencionais
como, por exemplo, executar um S.O. Linux com uma aplicação de votação. O AC é
controlado e monitorado pelo SC, com mecanismos que serão descritos mais a adiante.
O SC, por sua vez, é um núcleo minimalista e que foi modificado para ser uma das
raízes de confiança do sistema. Para minimizar possibilidades de defeitos de segurança no
próprio VHDL do processador, FPU e MMU foram eliminados, ao mesmo tempo em que
uma memória interna, de acesso exclusivo ao núcleo foi adicionada. Esta memória, chamada
de scratchpad, é essencial na segurança do sistema e foi projetada para permitir que
operações que demandam sigilo (manipulação de chaves e outros parâmetros críticos de
sistema) pudessem ser realizados com a menor possibilidade de vazamento e sem a necessidade
de memória externa. O SC tem capacidade para executar um sistema operacional
mínimo, seguindo o princípio da minimização da Trusted Computing Base (TCB).
O SC tem controle sobre todos os outros componentes do SCuP, permitindo, dentre
outros, o Mecanismo de Inspeção/Introspecção Profunda (MIP) e a Sequência de Boot
Seguro.
76